Beschluss des Präsidiums zur Vorlage für die Sitzung des erweiterten Parteivorstandes am 20. Juni 2015 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 Initiativantrag des Parteivorstands Einführung einer Speicherpflicht und Höchstspeicherfrist für Verkehrsdaten im Einklang mit Datenschutz und Grundrechten Freiheit ist einer der Grundwerte der Sozialdemokratie. Freiheit bedeutet die Möglichkeit, selbstbestimmt zu leben, sich nach seinen Fähigkeiten zu entfalten und gleichberechtigt an Gesellschaft und Politik teilzuhaben. Jeder Mensch muss deshalb frei sein von entwürdigenden Abhängigkeiten und er muss frei sein von Not und Furcht. Freiheit verlangt daher auch immer schwierige Abwägungsentscheidungen gerade dann, wenn es darum geht, die Rechte von Opfern schwerer Straftaten zu schützen und die Abwehr von Gefahren für Leib, Leben, Freiheit und sexuelle Selbstbestimmung in Einklang zu bringen mit den Persönlichkeitsrechten und dem Datenschutz. Der SPD-Konvent spricht sich gegen eine Wiedereinführung der Vorratsdatenspeicherung (VDS, auch: Mindestspeicherung) in der bisherigen Form aus. Die ursprüngliche anlasslose und alles umfassende Speicherung ohne eine angemessene Sicherung der Persönlichkeitsrechte und des Datenschutzes ist mit den verfassungs- und europarechtlichen Vorgaben nicht vereinbar und wirft Fragen mit Blick auf die Grundwerte der Sozialdemokratie auf. Die SPD hat auf ihrem Bundesparteitag 2011 in ihrem Beschluss Datenschutz und Grundrechte stärken - Datenspeicherung begrenzen! klare und restriktive Voraussetzungen für die Mindestspeicherung formuliert. Wir sind überzeugt, dass es im digitalen Zeitalter einen strengen und rechtstaatlich einwandfreien Rahmen für den notwendigen Einsatz von Instrumenten zur digitalen Strafverfolgung von Schwerstkriminellen braucht. Der Beschluss des Parteitages im Dezember 2011 ist nach der Entscheidung des Europäischen Gerichtshofes nur insoweit gegenstandslos, als dieser vor dem Hintergrund der damals gültigen EU-Richtlinie, die Deutschland zu einer Umsetzung der Vorratsdatenspeicherung verpflichtete, entstanden ist. Das politische Ziel, die Rechte von Opfern schwerster Straftaten und die Abwehr von dringenden Gefahren für Leib, Leben, Gesundheit und Menschenwürde in Einklang zu bringen mit den Persönlichkeitsrechten und dem Datenschutz, bleibt aber nach wie vor aktuell. 1
33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 Im Folgenden werden die verschiedenen Anforderungen aus dem Bundesparteitagsbeschluss und den Urteilen des Bundesverfassungsgerichts sowie des Europäischen Gerichtshofs dargestellt und der Gesetzentwurf zur Einführung einer Speicherpflicht und Höchstspeicherfrist für Verkehrsdaten erläutert. In der Gesamtschau ist es gelungen, mit dem Gesetzentwurf und der darin festgeschriebenen (daten-)differenzierten Herangehensweise, den äußerst kurzen Höchstspeicherpflichten, den vorgeschriebenen Restriktionen und Verpflichtungen für Ermittlungsbehörden und Justiz und den klaren Vorgaben für verpflichtende Maßnahmen zur Gewährleistung höchster Datensicherheit bei den Telekommunikationsunternehmen, das legitime Sicherheitsinteresse der Bürgerinnen und Bürger mit den gewichtigen Anforderungen eines modernen Datenschutzes und dem Grundrecht auf informationelle Selbstbestimmung in Einklang zu bringen. Die weiterhin bestehenden Sorgen nehmen wir sehr ernst. 1. Der Parteitagsbeschluss 2011 Der Parteitag hat sich am 6. Dezember 2011 für die Einführung einer Vorratsdatenspeicherung unter engen rechtsstaatlichen Voraussetzungen ausgesprochen. Vorausgegangen war die Entscheidung des Bundesverfassungsgerichts, in der das Gericht das alte Gesetz zur Vorratsdatenspeicherung für verfassungswidrig erklärt hatte. Nach Beschlusslage sind bei der Einführung einer Speicherpflicht für Provider der Datenschutz und die Grundrechte zu achten, d.h.: - Speicherfristen von deutlich unter sechs Monaten (drei Monate in aller Regel ausreichend), zudem eine Differenzierung der Speicherfristen und Zugriffsvoraussetzungen anhand der zu speichernden Datenarten hinsichtlich der Eingriffsintensität - Richterliche Entscheidung vor Abruf gespeicherten Daten (qualifizierter Richtervorbehalt) - Abruf der gespeicherten Daten nur bei schwersten Straftaten gegen Leib, Leben oder sexuelle Selbstbestimmung, insbesondere kein Zugriff für zivilrechtliche Zwecke (z.b. für Urheberrechts und Copyright-Fragen) - Kein Abruf der gespeicherten Daten zur Erstellung eines Bewegungsprofils - Bei Abruf Protokollierung und nach Abruf Benachrichtigung des Betroffenen 2
67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 - Absolutes Verwertungsverbot für Daten eines Berufsgeheimnisträgers - Einhaltung der vom Bundesverfassungsgericht festgelegten Datenschutzstandards - Strenge Sanktionen bei Verstoß gegen die Regelungen und Standards Darüber hinaus hat sich der Parteitag dafür ausgesprochen, klare Rahmen zu setzen für Datensammlungen, die die Provider ohne gesetzliche Verpflichtungen speichern. 2. Die Entscheidungen des Bundesverfassungsgerichts und des Europäischen Gerichtshofs Im März 2010 hat das Bundesverfassungsgericht das damalige deutsche Gesetz zur Vorratsdatenspeicherung für nichtig erklärt, die Vorratsdatenspeicherung als solche unter bestimmten Voraussetzungen aber weiter für zulässig erachtet. Erforderlich seien hinreichend anspruchsvolle und normenklare Regelungen hinsichtlich der Datensicherheit, der Datenverwendung, der Transparenz und des Rechtsschutzes, Richtervorbehalt und Schutz der Berufsgeheimnisträger. Der Abruf und die unmittelbare Nutzung der Daten seien nur verhältnismäßig, wenn sie überragend wichtigen Aufgaben des Rechtsgüterschutzes dienen. Im April 2014 hat der Europäische Gerichtshof (EuGH) die bis dahin geltende EU-Richtlinie zur Vorratsdatenspeicherung wegen Verstoßes gegen die EU-Grundrechtscharta für nichtig erklärt. Festgestellt wurden Verstöße gegen die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten. Auch der EuGH hat die Vorratsdatenspeicherung nicht generell für unzulässig erachtet, sondern rechtsstaatliche Vorgaben gefordert, die dem Grundsatz der Verhältnismäßigkeit hinreichend Rechnung tragen. So darf die elektronische Kommunikation nicht umfassend einer anlasslosen Speicherpflicht unterworfen werden. Wie dieses Ziel erreicht wird, bleibt dem Gesetzgeber überlassen. Auch der EuGH legt Wert auf den Schutz von Berufsgeheimnisträgern. Die Daten dürfen nur zur Verhütung, Feststellung und Verfolgung schwerer Straftaten gespeichert werden und müssen vor unberechtigter Nutzung geschützt werden. Speicherung und Abruf der Daten sind klar und präzise zu regeln. 3. Der Gesetzentwurf zur Einführung einer Speicherpflicht und Höchstspeicherfrist für Verkehrsdaten Mit dem Gesetzentwurf zur Einführung einer Speicherpflicht und Höchstspeicherfrist für Verkehrsdaten hat die Bundesregierung am 27. Mai 2015 einen Gesetzentwurf beschlossen, 3
100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 der deutlich restriktiver ist als alles, was früher als Vorratsdatenspeicherung bezeichnet wurde. Die strengen Maßstäbe des Parteitagsbeschlusses vom Dezember 2011 sind umgesetzt und zum Teil sogar übertroffen. Zudem sind die verfassungs- und europarechtlichen Vorgaben des Bundesverfassungsgerichts und des Europäischen Gerichtshofs eingehalten. Der Gesetzentwurf sieht Folgendes vor: - Provider müssen bestimmte Verkehrsdaten speichern, insbesondere die Rufnummer der beteiligten Telefonanschlüsse, Zeitpunkt und Dauer eines Anrufs, bei Mobilfunk die Standortdaten sowie wann und wie lange eine IP-Adresse einem bestimmten Computer, Smartphone o.ä. zugeordnet war, d.h. wann von diesem Gerät das Internet benutzt wurde. - Nicht gespeichert werden dürfen jegliche Inhalte von Kommunikation, auch nicht der Inhalt von Telefongesprächen und welche Internetseiten aufgerufen wurden. E-Mails sind generell und komplett von der Speicherpflicht ausgenommen. - Die Speicherfrist ist differenziert und bestimmt sich nach der Eingriffsintensität der Datenart: Die Daten werden grundsätzlich zehn Wochen gespeichert; die besonders sensiblen und eingriffsintensiven Standortdaten lediglich vier Wochen. Nach Ablauf der Fristen sind die Unternehmen verpflichtet, die Daten binnen einer Woche zu löschen. - Die Daten werden bei den Telekommunikationsunternehmen gespeichert. Die Strafverfolgungsbehörden können nur dann einzelne Daten abrufen, wenn ein Richter oder eine Richterin dies für den konkreten Einzelfall nach Prüfung der gesetzlichen Voraussetzungen und Verhältnismäßigkeitsprüfung erlaubt. Die Datennutzung unterliegt also ausnahmslos einem umfassenden Richtervorbehalt. Eine Eilkompetenz der Staatsanwaltschaft existiert nicht. - Abgerufen werden dürfen die Daten von der Staatsanwaltschaft zur Verfolgung einzeln aufgeführter besonders schwerer Straftaten, insbesondere bei terroristischen Taten und anderen Delikten gegen Leib, Leben, Freiheit und sexuelle Selbstbestimmung, also etwa bei Mord, Totschlag oder schwerem sexuellen Missbrauch von Kindern. Ein Abruf für zivilrechtliche Zwecke ist ausgeschlossen. - Die Erstellung von Bewegungs- und Persönlichkeitsprofilen soll durch die verkürzte Speicherfrist und hohe Hürden für den Abruf von Standortdaten Daten verhindert werden. 4
132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 - Transparenz: Der Abruf der Daten ist keine verdeckte Maßnahme. Die betroffenen Personen sind grundsätzlich vor dem Abruf der Daten zu benachrichtigen, im Übrigen werden die Betroffenen nachträglich benachrichtigt. Der Abruf ist zu protokollieren. - Zum Schutz der Berufsgeheimnisträger sind von der Speicherpflicht ausgenommen Daten, die etwa bei der Kontaktaufnahme zu Telefonseelsorge-Hotlines anfallen. Daten, die bei der Kommunikation mit Personen anfallen, denen die Strafprozessordnung ein Zeugnisverweigerungsrecht einräumt (etwa Geistliche, Rechtsanwälte, Ärzte, Apotheker, Journalisten, Volksvertreter) dürfen von den Strafverfolgungsbehörden nicht abgerufen werden. Zufallsfunde unterliegen einem Verwertungsverbot, d.h. sie dürfen in keinem Fall genutzt werden. - Für die Speicherung gelten die hohen Datenschutzstandards des Bundesverfassungsgerichts. - Strenge Sanktionen: Bei Verstößen drohen den Unternehmen Geldbußen von 100.000 bis 500.000 Euro Dieser Gesetzentwurf ist deutlich restriktiver als das, was früher als Vorratsdatenspeicherung bezeichnet wurde, denn: - Es wird sehr viel kürzer gespeichert; die alte EU-Richtlinie sah eine Speicherung bis zu zwei Jahren vor, das verfassungswidrige deutsche Gesetz eine Speicherung von sechs Monaten. Der Gesetzentwurf liegt mit zehn bzw. vier Wochen sogar deutlich unter der im Beschluss des Parteitags angestrebten Speicherfrist ( deutlich unter sechs Monaten ) - Es werden weniger Daten gespeichert als zuvor; so sind etwa E-Mail-Daten jetzt komplett ausgenommen. - Die Voraussetzungen für den Abruf auf die Daten sind strenger; der Kreis der Taten, für deren Aufklärung die Daten genutzt werden dürfen, ist enger. - Der Abruf von Standortdaten wurde generell verschärft. Zu geschäftlichen Zwecken gespeicherte Standortdaten dürfen nicht mehr abgerufen werden. Abgerufen werden dürfen nur noch die verpflichtend gespeicherten Standortdaten unter den oben genannten strengen Voraussetzungen. - Die Erstellung von Bewegungs- und Persönlichkeitsprofilen soll durch die verkürzte Speicherfrist und hohe Hürden für den Abruf von Standortdaten verhindert werden. 5
164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 193 194 195 196 197 - Erstmals gibt es ein klares Verwertungsverbot von Daten von Berufsgeheimnisträgern. Eine Whitelist mit von allen Berufsgeheimnisträgern in Deutschland, mit all ihren Telefonnummern, IP-Adresse etc., die für ein Erhebungsverbot erforderlich wären, ist bei genauer Betrachtung kein Gewinn an Datenschutz, sondern angesichts der Brisanz einer solchen umfassenden Liste das Gegenteil. - Eine Eilkompentenz der Staatsanwaltschaft gibt es nicht. Nur ein Gericht darf den Zugriff der Ermittlungsbehörden auf die Kundendaten bei den Unternehmen erlauben - ausdrücklich ohne die sonst vielfach übliche Eilkompetenz des Staatsanwalts, die letztendlich dem Richter nur noch nachträglich die Entscheidung überlässt, ob er eine bereits erfolgte Abfrage genehmigt oder andernfalls für rechtswidrig erklärt. - Erstmals werden enorm hohe Datenschutzstandards bei den Providern gesetzlich verpflichtend vorgeschrieben. Bisher gibt es hier keine einheitlichen Schutzstandards. Das Gesetz wird zum ersten Mal bestimmen, welche Anonymisierungs-, Kryptorisierungs-Standards, etc. von den Telekommunikationsunternehmen verpflichtend eingehalten werden müssen mit massiven Geldbußandrohungen, falls ein Unternehmen dem nicht nachkommt. Der Gesetzentwurf sieht zugleich vor, den neuen Straftatbestand der Datenhehlerei zu schaffen. Damit wird sichergestellt, dass Daten nicht nur vor Ausspähung geschützt sind, sondern auch der Handel mit ausgespähten Daten unter Strafe steht. 4. Zusammenfassung Der vorgelegte Gesetzentwurf erfüllt die Vorgaben aus den Urteilen des BVerfG und des EuGH. Vor allem hat er aber noch einmal die Anforderungen in erheblichem Maße verschärft, die wir auf dem Parteitag 2011 an ein solches Ermittlungsinstrument geknüpft haben: - Speicherfrist unter 3 Monaten mit 4 Wochen bzw. 10 Wochen. - Für die sensiblen Daten wird eine Löschverpflichtung eingeführt. - Eine wichtige Datenart (Email) wird komplett ausgenommen. - Der Abruf der besonders sensiblen Standortdaten wurde nochmals verschärft: Abgerufen werden dürfen nur noch die verpflichtend gespeicherten Standortdaten innerhalb von vier Wochen und nur bei Verdacht auf eine Straftat aus dem eng umrissenen Straftatenkatalog. Dies ist auch eine klare Verbesserung zum Status Quo. Die zurzeit in großem Umfang stattfindende Abfrage bei Providern (Stichwort 6
198 199 200 201 202 203 204 205 206 207 208 209 210 211 212 213 214 215 216 217 218 219 220 221 222 223 224 225 226 227 228 229 230 231 Funkzellenabfrage bspw. bei Demonstrationen) wird durch die neue Regelung präzisiert und verschärft, damit unverhältnismäßige Abfragen zukünftig unterbleiben. 5. Speicherung, Verknüpfung und Auswertung von Daten durch private Anbieter Der Staat erreicht mit seinem Gesetz ein Datenschutzniveau, das ansonsten bei privaten Anbietern bei Weitem nicht erreicht wird. Unabhängig von dem staatlichen Zugriff auf Verkehrsdaten im Einzelfall zur Strafverfolgung, speichern private Anbieter in umfangreichster Weise Daten von Kunden und Nutzern. Die technologische Entwicklung erlaubt heute erstmals eine umfassende Verknüpfung von Informationen aus verschiedenen Quellen sowie deren detaillierte Auswertung (Big Data). In der Verarbeitung, Aggregierung und Verknüpfung unterschiedlichster Datenarten und Datenmengen in Echtzeit liegt großes gesellschaftliches und wirtschaftliches Potenzial. So können z.b. mittelständige Unternehmen durch individualisierte Kundenlösungen Wettbewerbsvorteile erlangen. In diesen Entwicklungen liegt aber auch ein erhebliches Risiko für die informationelle Selbstbestimmung. Der SPD-Parteikonvent fordert, dass für die Erhebung, Verarbeitung, Speicherung und Weitergabe sowie für einen Zugriff durch Dritte auf die von privaten Anbietern gespeicherten Daten ein klarer gesetzlicher Rahmen gesetzt wird. Da unterschiedliche Datenarten verschiedene Gefährdungspotentiale aufweisen, ist dabei nach Datenarten zu differenzieren. Unternehmen, die eine marktbeherrschende Position innehaben, können sich dem Wunsch der Nutzer nach mehr Datenschutz durch ihre Monopolstellung entziehen. Je mehr Mitglieder sich in sozialen Netzwerken vernetzen, desto attraktiver wird die Plattform für neue Mitglieder. Denn die meisten Nutzer werden dorthin gehen, wo die größte Anzahl von Freunden angemeldet ist. Auch Suchmaschinen werden immer besser, je mehr Nutzer ihre Suchanfragen stellen. Insofern ist ein Abmelden der Nutzer von diesen Anbietern nur mit hohen Kosten, wie eine schlechtere Vernetzung mit Gleichgesinnten, ein Vorbehalten von Informationen oder ungenaueren Suchergebnissen verbunden. Im Alltag nehmen Menschen aufgrund der gefühlten Alternativlosigkeit zur angebotenen Dienstleistung mit den gegebenen Geschäftsbedingungen daher häufig Einschränkungen ihres Datenschutzes notgedrungen in Kauf. Deswegen unterstützen wir die Bemühungen zum Abschluss einer Datenschutzgrundverordnung in der EU und fordern die Bundesregierung auf, sich vehement für eine schnellstmögliche Verabschiedung der Datenschutzgrundverordnung einzusetzen, mit der europaweit ein hohes Datenschutzniveau erreicht werden muss. Mit einer 7
232 233 234 235 236 237 238 239 240 241 242 243 244 245 246 247 248 249 250 251 Datenschutzgrundverordnung würden erstmals klare und einheitliche Regelungen in der EU gelten. Dadurch könnte das momentan betriebene forum shopping von global agierenden Unternehmen erschwert werden. Die Unternehmen nutzen aktuell die Vorteile des einheitlichen europäischen Marktes, suchen sich jedoch die Mitgliedstaaten als Niederlassungsorte aus, in denen die Verbraucher- und Datenschutzanforderungen nicht an den europäischen Mindeststandard heranreichen oder eine Umgehung sich wegen unzureichender Kontrollen einfach bewerkstelligen lässt. Mit einem europaweit einheitlichen und hohen Datenschutzniveau kann auch das Vertrauen der Bürgerinnen und Bürger in die Fähigkeit des Staates, Datenschutz gegenüber privaten Anbietern durchzusetzen, verbessert werden. Staat wie Wirtschaft sind zur Beachtung des Datenschutzes und der Datensicherheit nicht allein rechtlich passiv verpflichtet. Vielmehr müssen sie aktiv handeln. Wir fordern, dass diese Vorgaben bei der Planung von betrieblichen, technischen und organisatorischen Prozessen und Geschäftsmodellen aktiv beachtet, proaktiv implementiert und auf Organisationsebene weiter entwickelt werden. Datenschutz und Datensicherheit müssen von vornherein in die Prozesse und Abläufe integriert sein (privacy by design und privacy by default). Wir fordern die Bundestagsfraktion auf, entsprechende Vorschläge zu erarbeiten und sich für ein hohes Datenschutzniveau, Datenportabilität, offene Standards und gegen proprietäre System einzusetzen. 8